Übereinstimmungsbedingungen für Firewall-Filter für IPv6-Datenverkehr
Sie können einen Firewallfilter mit Übereinstimmungsbedingungen für IPv6-Datenverkehr (Internet Protocol Version 6) konfigurieren ().family inet6
Bei Routern der MX-Serie mit MPCs müssen Sie den Filterzähler für Nur-Trio-Übereinstimmungsfilter initialisieren, indem Sie die entsprechende SNMP-MIB durchlaufen, z. B . . .show snmp mib walk name ascii
Dadurch wird Junos gezwungen, die Filterzähler zu erlernen und sicherzustellen, dass die Filterstatistiken angezeigt werden. Diese Anleitung gilt für alle Firewallfilter im erweiterten Modus, Filter mit flexiblen Bedingungen und Filter mit bestimmten Beendigungsaktionen. Weitere Informationen finden Sie in den Themen, die unter "Zugehörige Dokumentation" aufgeführt sind.
Beschreibt die Übereinstimmungsbedingungen, die Sie auf Hierarchieebene konfigurieren können.Tabelle 1[edit firewall family inet6 filter filter-name term term-name from]
Übereinstimmungsbedingung |
Beschreibung |
|
---|---|---|
|
Stimmt mit dem Feld für die IPv6-Quell- oder Zieladresse überein, es sei denn, die Option ist enthalten. |
|
|
Geben Sie an, von welchen Gruppen Konfigurationsdaten geerbt werden sollen. Sie können mehrere Gruppennamen angeben. Sie müssen sie in der Reihenfolge ihrer Vererbungspriorität auflisten. Die Konfigurationsdaten in der ersten Gruppe haben Vorrang vor den Daten in den nachfolgenden Gruppen. |
|
|
Geben Sie an, von welchen Gruppen keine Konfigurationsdaten geerbt werden sollen. Sie können mehrere Gruppennamen angeben. |
|
|
Übereinstimmung mit dem IPv6-Zieladressfeld, sofern die Option nicht enthalten ist. Es ist nicht möglich, sowohl die Übereinstimmungsbedingung als auch die Übereinstimmungsbedingung im selben Begriff anzugeben. |
|
|
Übereinstimmung mit einem oder mehreren angegebenen Zielklassennamen (Gruppen von Zielpräfixen, die gruppiert sind und einen Klassennamen erhalten). Weitere Informationen finden Sie unter Übereinstimmungsbedingungen für Firewallfilter basierend auf Adressklassen.Übereinstimmungsbedingungen für Firewall-Filter basierend auf Adressklassen |
|
|
Stimmt nicht mit einem oder mehreren angegebenen Zielklassennamen überein. Weitere Informationen finden Sie in der Übereinstimmungsbedingung . |
|
|
Stimmt mit dem Feld UDP- oder TCP-Zielport überein. Es ist nicht möglich, sowohl die Übereinstimmungsbedingung als auch die Übereinstimmungsbedingung im selben Begriff anzugeben. Wenn Sie diese Übereinstimmungsbedingung konfigurieren, empfehlen wir, dass Sie auch die Übereinstimmungsbedingung oder im selben Begriff konfigurieren, um anzugeben, welches Protokoll auf dem Port verwendet wird. HINWEIS:
Für Junos OS Evolved müssen Sie die match-Anweisung mit demselben Begriff konfigurieren. Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Portnummern werden ebenfalls aufgelistet): (1483), (179), (512), (68), (67), (514), (2401), (67), (53), (2105), (2106), (512), (79), (21), (20), (80), (443), (113), (143), (88), (543), (761), (754), (760), (544), (389), (646), (513), (434), (435), (639), (138), (137), (139), (2049), (119), (518), (123), (110), (1723), (515), (1813), (1812), (520), (2108), (25), (161), (162), (444), (1080), (22), (111), (514), (49), (65), (517), (23), (69), (525), (513) oder (177). |
|
|
Stimmen Sie nicht mit dem Feld UDP- oder TCP-Zielport überein. Weitere Informationen finden Sie in der Übereinstimmungsbedingung . |
|
|
Ordnen Sie das IPv6-Zielpräfix der angegebenen Liste zu, es sei denn, die Option ist enthalten. Die Präfixliste wird auf der Hierarchieebene ] definiert. |
|
|
Gleichen Sie einen Erweiterungsheadertyp ab, der im Paket enthalten ist, indem Sie einen Next Header-Wert identifizieren. HINWEIS:
Diese Übereinstimmungsbedingung wird nur auf MPCs in Routern der MX-Serie unterstützt. Im ersten Fragment eines Pakets sucht der Filter nach einer Übereinstimmung in einem der Erweiterungsheadertypen. Wenn ein Paket mit einem Fragmentheader gefunden wird (ein nachfolgendes Fragment), sucht der Filter nur nach einer Übereinstimmung mit dem nächsten Erweiterungsheadertyp, da die Position anderer Erweiterungsheader unvorhersehbar ist. Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Feldwerte werden ebenfalls aufgelistet): (51), (60), (50), (44), (0), (135) oder (43). Um einen beliebigen Wert für die Erweiterungs-Header-Option zu finden, verwenden Sie das Textsynonym . Initialisieren Sie bei Routern der MX-Serie mit MPCs neue Firewall-Filter, die diese Bedingung enthalten, indem Sie die entsprechende SNMP-MIB durchlaufen. |
|
|
Übereinstimmung, wenn es sich bei dem Paket um das erste Fragment handelt. |
|
|
Stimmt nicht mit einem Erweiterungsheadertyp überein, der im Paket enthalten ist. Weitere Informationen finden Sie in der Übereinstimmungsbedingung . HINWEIS:
Diese Übereinstimmungsbedingung wird nur auf MPCs in Routern der MX-Serie unterstützt. |
|
|
|
Länge der ganzzahligen Eingabe (1..32 Bit); (Optional) Länge der String-Eingabe (1..128 Bit) |
|
Bit-Offset nach dem (Match-Start + Byte) Offset (0..7) |
|
|
Byte-Offset nach dem Startpunkt des Spiels |
|
|
Wählen Sie eine flexible Übereinstimmung aus einem vordefinierten Vorlagenfeld aus |
|
|
Maskieren Sie Bits in den Paketdaten, die abgeglichen werden sollen |
|
|
Startpunkt für den Abgleich im Paket |
|
|
Abzugleichende Wertdaten/Zeichenfolge |
|
Weitere Informationen finden Sie unter Flexible Übereinstimmungsbedingungen für Firewall-FilterFlexible Übereinstimmungsbedingungen für Firewall-Filter |
||
Bereiche sollten das folgende Format haben: Integer Integer |
|
Länge der abzugleichenden Daten in Bit (0..32) |
|
Bit-Offset nach dem (Match-Start + Byte) Offset (0..7) |
|
|
Byte-Offset nach dem Startpunkt des Spiels |
|
|
Wählen Sie eine flexible Übereinstimmung aus einem vordefinierten Vorlagenfeld aus |
|
|
Startpunkt für den Abgleich im Paket |
|
|
Wertebereich, der abgeglichen werden soll |
|
|
Übereinstimmung mit diesem Wertebereich nicht |
|
Weitere Informationen finden Sie unter Flexible Übereinstimmungsbedingungen für Firewall-FilterFlexible Übereinstimmungsbedingungen für Firewall-Filter |
||
|
Entspricht der Weiterleitungsklasse des Pakets. Geben Sie , , oder . Weitere Informationen zu Weiterleitungsklassen und routerinternen Ausgabewarteschlangen finden Sie unter Grundlegendes zum Zuweisen von Klassen zu Ausgabewarteschlangen durch Weiterleitungsklassen.Understanding How Forwarding Classes Assign Classes to Output Queues |
|
|
Sie stimmt nicht mit der Weiterleitungsklasse des Pakets überein. Weitere Informationen finden Sie in der Übereinstimmungsbedingung . |
|
|
Passen Sie das Hop-Limit an das angegebene Hop-Limit oder eine Reihe von Hop-Limits an. Geben Sie für einen einzelnen Wert oder einen Wertebereich zwischen 0 und 255 an. Wird nur auf Schnittstellen unterstützt, die auf MICs oder MPCs in Routern der MX-Serie gehostet werden. HINWEIS:
Diese Übereinstimmungsbedingung wird auf Routern der PTX-Serie unterstützt, wenn sie auf dem Router konfiguriert ist. |
|
|
Passen Sie das Hop-Limit nicht an das angegebene Hop-Limit oder den angegebenen Satz von Hop-Limits an. Weitere Informationen finden Sie in der Übereinstimmungsbedingung . Wird nur auf Schnittstellen unterstützt, die auf MICs oder MPCs in Routern der MX-Serie gehostet werden. HINWEIS:
Diese Übereinstimmungsbedingung wird auf Routern der PTX-Serie unterstützt, wenn sie auf dem Router konfiguriert ist. |
|
|
Stimmen Sie mit dem Feld ICMP-Nachrichtencode überein. Wenn Sie diese Übereinstimmungsbedingung konfigurieren, empfehlen wir, dass Sie auch die Übereinstimmungsbedingung oder im selben Begriff konfigurieren. Wenn Sie diese Übereinstimmungsbedingung konfigurieren, müssen Sie auch die Übereinstimmungsbedingung im selben Begriff konfigurieren. Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Feldwerte werden ebenfalls aufgelistet). Die Schlüsselwörter werden nach dem ICMP-Typ gruppiert, dem sie zugeordnet sind:
|
|
|
Stimmen Sie nicht mit dem ICMP-Meldungscodefeld überein. Weitere Informationen finden Sie in der Übereinstimmungsbedingung . |
|
|
Stimmen Sie mit dem Feld ICMP-Nachrichtentyp überein. Wenn Sie diese Übereinstimmungsbedingung konfigurieren, empfehlen wir, dass Sie auch die Übereinstimmungsbedingung oder im selben Begriff konfigurieren. HINWEIS:
Für Junos OS Evolved müssen Sie die match-Anweisung mit demselben Begriff konfigurieren. Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Feldwerte werden ebenfalls aufgelistet): (149), (148), (1), (129), (128), (145), (144), (142), (141), (130), (131), (132), (147), (146), (136), (135), (140), (139), (2), (4), (100), (101), (200), (201), (137), (134), (138), (133) oder (3). Für (201) können Sie auch einen Wertebereich in eckigen Klammern angeben. |
|
|
Stimmen Sie nicht mit dem Feld ICMP-Nachrichtentyp überein. Weitere Informationen finden Sie in der Übereinstimmungsbedingung . |
|
|
Stimmt mit der Schnittstelle überein, auf der das Paket empfangen wurde. HINWEIS:
Wenn Sie diese Übereinstimmungsbedingung mit einer Schnittstelle konfigurieren, die nicht vorhanden ist, stimmt der Begriff mit keinem Paket überein. |
|
|
Ordnen Sie die logische Schnittstelle, auf der das Paket empfangen wurde, der angegebenen Schnittstellengruppe oder Gruppe von Schnittstellengruppen zu. Geben Sie für einen einzelnen Wert oder einen Wertebereich von bis an . Um einer Schnittstellengruppe eine logische Schnittstelle zuzuordnen, geben Sie die auf Hierarchieebene an. Weitere Informationen finden Sie unter Filtern von Paketen, die in einer Gruppe von Schnittstellengruppen empfangen wurden – Übersicht.Filtern von Paketen, die auf einer Gruppe von Schnittstellengruppen empfangen wurden Übersicht |
|
|
Ordnen Sie die logische Schnittstelle, auf der das Paket empfangen wurde, nicht der angegebenen Schnittstellengruppe oder Gruppe von Schnittstellengruppen zu. Weitere Informationen finden Sie in der Übereinstimmungsbedingung . |
|
|
Ordnen Sie die Schnittstelle, auf der das Paket empfangen wurde, der angegebenen Schnittstellengruppe zu. Um eine Schnittstellenmenge zu definieren, fügen Sie die Anweisung auf Hierarchieebene ein. Weitere Informationen finden Sie unter Filtern von Paketen, die in einer Schnittstellengruppe empfangen wurden – Übersicht.Filtern von Paketen, die auf einer Schnittstelle empfangen wurden Satzübersicht |
|
|
Ordnen Sie das 8-Bit-IP-Optionsfeld, falls vorhanden, dem angegebenen Wert oder der angegebenen Werteliste zu. Anstelle eines numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Optionswerte werden ebenfalls aufgelistet): (131), (7), (148), (130), (136), (137) oder (68). Um einen beliebigen Wert für die IP-Option abzugleichen, verwenden Sie das Textsynonym . Beispielsweise stimmt die Übereinstimmungsbedingung in einem IP-Optionsfeld überein, das die Werte , , oder oder einen anderen Wert zwischen 0 und 147 enthält. Bei den meisten Schnittstellen bewirkt ein Filterbegriff, der eine Übereinstimmung mit einem oder mehreren bestimmten IP-Optionswerten angibt (ein anderer Wert als ), dass Pakete an die Routing-Engine gesendet werden, damit der Kernel das IP-Optionsfeld im Paket-Header analysieren kann.
Der 10-Gigabit Ethernet Modular Port Concentrator (MPC), der 100-Gigabit-Ethernet-MPC, der 60-Gigabit-Ethernet-MPC, der 60-Gigabit-Ethernet-MPC und der 60-Gigabit-Ethernet-Enhanced Queuing-MPC auf Routern der MX-Serie sind in der Lage, das IP-Optionsfeld des IPv4-Paketheaders zu analysieren. Bei Schnittstellen, die auf diesen MPCs konfiguriert sind, werden alle Pakete, die mit der Übereinstimmungsbedingung abgeglichen werden, zur Verarbeitung an die Paketweiterleitungs-Engine gesendet. |
|
|
Gleichen Sie das IP-Optionsfeld nicht mit dem angegebenen Wert oder der angegebenen Werteliste ab. Weitere Informationen zum Angeben von , finden Sie in der Übereinstimmungsbedingung. |
|
|
Übereinstimmung, wenn es sich bei dem Paket um ein Fragment handelt. |
|
|
Übereinstimmung, wenn es sich bei dem Paket um das letzte Fragment handelt. |
|
|
Entspricht der PLP-Stufe (Packet Loss Priority). Geben Sie eine einzelne Ebene oder mehrere Ebenen an: , , oder . Unterstützt auf M120- und M320-Routern; M7i- und M10i-Router mit dem erweiterten CFEB (CFEB-E); und Router der MX-Serie und Switches der EX-Serie. Für IP-Datenverkehr auf Routern der M320-, MX-Serie, T-Serie und Switches der EX-Serie mit Enhanced II Flexible PIC Concentrators (FPCs) müssen Sie die Anweisung auf Hierarchieebene einfügen, um eine PLP-Konfiguration mit einer der vier angegebenen Ebenen zu bestätigen. Weitere Informationen zu dieser Anweisung finden Sie unter Konfigurieren und Anwenden von dreifarbigen Markierungsrichtlinien. |
|
|
Nicht mit dem PLP-Wert übereinstimmen. Weitere Informationen finden Sie in der Übereinstimmungsbedingung . |
|
|
Stimmt mit dem ersten 8-Bit-Feld für den nächsten Header im Paket überein. Unterstützung für die Übereinstimmungsbedingung der Firewall ist in Junos OS Version 13.3R6 und höher verfügbar. HINWEIS:
MX-Plattformen haben eine Übereinstimmung, die mit dem ersten nächsten Header (NH) im Paket übereinstimmt und mit dem letzten NH.
Stimmt mit dem ersten 8-Bit-Feld für den nächsten Header im Paket überein. Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Feldwerte werden ebenfalls aufgelistet): (51), (60), (8), (50), (44), (47), (0), (1), (58), (58), (2), (4), (41), (135), (59), (89), (103), (43), (46), (132), (6), (17) oder (112). HINWEIS:
|
|
|
Stimmen Sie nicht mit dem 8-Bit-Feld "Next Header" überein, das den Typ des Headers zwischen dem IPv6-Header und der Nutzlast angibt. Weitere Informationen finden Sie unter Übereinstimmungstyp . |
|
|
Entspricht der Länge des empfangenen Pakets in Bytes. Die Länge bezieht sich nur auf das IP-Paket, einschließlich des Paket-Headers, und enthält keinen Layer-2-Kapselungs-Overhead. |
|
|
Stimmt nicht mit der Länge des empfangenen Pakets in Byte überein. Weitere Informationen finden Sie unter Übereinstimmungstyp . |
|
|
Entspricht dem Typ des Nutzlastprotokolls. Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Feldwerte werden ebenfalls aufgelistet): Sie können die Bedingung auch verwenden, um einen Erweiterungs-Header-Typ abzugleichen, den die Firmware von Juniper Networks nicht interpretieren kann. HINWEIS:
Diese Übereinstimmungsbedingung wird nur auf MPCs auf Routern der MX-Serie unterstützt. Initialisieren Sie neue Firewallfilter, die diese Bedingung enthalten, indem Sie die entsprechende SNMP-MIB durchlaufen. |
|
|
Sie stimmen nicht mit dem Typ des Nutzlastprotokolls überein. Weitere Informationen finden Sie unter Übereinstimmungstyp . HINWEIS:
Diese Übereinstimmungsbedingung wird nur auf MPCs auf Routern der MX-Serie unterstützt |
|
|
Stimmen Sie mit dem Feld UDP- oder TCP-Quell- oder Zielport überein. Wenn Sie diese Übereinstimmungsbedingung konfigurieren, können Sie die Übereinstimmungsbedingung oder die Übereinstimmungsbedingung nicht im selben Begriff konfigurieren. Wenn Sie diese Übereinstimmungsbedingung konfigurieren, empfehlen wir, dass Sie auch die Übereinstimmungsbedingung oder im selben Begriff konfigurieren, um anzugeben, welches Protokoll auf dem Port verwendet wird. HINWEIS:
Für Junos OS Evolved müssen Sie die match-Anweisung mit demselben Begriff konfigurieren. Anstelle des numerischen Werts können Sie eines der unter aufgeführten Textsynonyme angeben. |
|
|
Stimmen Sie nicht mit dem Feld UDP- oder TCP-Quell- oder Zielport überein. Weitere Informationen finden Sie in der Übereinstimmungsbedingung . |
|
|
Ordnen Sie die Präfixe der Quell- oder Zieladressfelder den Präfixen in der angegebenen Liste zu, es sei denn, die Option ist enthalten. Die Präfixliste wird auf Hierarchieebene definiert. |
|
|
Entspricht einem Paket, das von einem Filter empfangen wurde, auf den eine Aktion angewendet wurde. |
|
|
Stimmt mit der IPv6-Adresse des Quellknotens überein, der das Paket sendet, es sei denn, die Option ist enthalten. Es ist nicht möglich, sowohl die Übereinstimmungsbedingung als auch die Übereinstimmungsbedingung im selben Begriff anzugeben. |
|
|
Übereinstimmung mit einem oder mehreren angegebenen Quellklassennamen (Gruppen von Quellpräfixen, die gruppiert sind und einen Klassennamen erhalten). Weitere Informationen finden Sie unter Übereinstimmungsbedingungen für Firewallfilter basierend auf Adressklassen.Übereinstimmungsbedingungen für Firewall-Filter basierend auf Adressklassen |
|
|
Stimmen Sie nicht mit einem oder mehreren angegebenen Quellklassennamen überein. Weitere Informationen finden Sie in der Übereinstimmungsbedingung . |
|
|
Stimmen Sie mit dem Feld UDP- oder TCP-Quellport überein. Sie können die Bedingungen und übereinstimmen nicht im selben Begriff angeben. Wenn Sie diese Übereinstimmungsbedingung konfigurieren, empfehlen wir, dass Sie auch die Übereinstimmungsbedingung oder im selben Begriff konfigurieren, um anzugeben, welches Protokoll auf dem Port verwendet wird. HINWEIS:
Für Junos OS Evolved müssen Sie die or match-Anweisung mit demselben Begriff konfigurieren. Anstelle des numerischen Werts können Sie eines der Textsynonyme angeben, die mit der Übereinstimmungsbedingung aufgeführt sind. |
|
|
Stimmen Sie nicht mit dem Feld für den UDP- oder TCP-Quellport überein. Weitere Informationen finden Sie in der Übereinstimmungsbedingung . |
|
|
Stimmt mit dem IPv6-Adresspräfix des Paketquellenfelds überein, es sei denn, die Option ist enthalten. Geben Sie einen Präfixlistennamen an, der auf Hierarchieebene definiert ist. |
|
|
Stimmt mit anderen TCP-Paketen als dem ersten Paket einer Verbindung überein. Dies ist ein Textsynonym für (). HINWEIS:
Mit dieser Bedingung wird nicht implizit überprüft, ob es sich bei dem Protokoll um ein TCP-Protokoll handelt. Um dies zu überprüfen, geben Sie die Übereinstimmungsbedingung an. Wenn Sie diese Übereinstimmungsbedingung konfigurieren, empfehlen wir, dass Sie auch die Übereinstimmungsbedingung im selben Begriff konfigurieren. |
|
|
Entspricht einem oder mehreren der niederwertigen 6 Bits im Feld 8-Bit-TCP-Flags im TCP-Header. Um einzelne Bitfelder anzugeben, können Sie die folgenden Textsynonyme oder Hexadezimalwerte angeben:
In einer TCP-Sitzung wird das SYN-Flag nur im ursprünglich gesendeten Paket gesetzt, während das ACK-Flag in allen Paketen festgelegt wird, die nach dem ursprünglichen Paket gesendet werden. Sie können mehrere Flags mithilfe der logischen Bitfeldoperatoren aneinanderreihen. Informationen zu kombinierten Bitfeld-Übereinstimmungsbedingungen finden Sie unter und Übereinstimmungsbedingungen. Wenn Sie diese Übereinstimmungsbedingung konfigurieren, empfehlen wir, dass Sie auch die Übereinstimmungsbedingung im selben Begriff konfigurieren, um anzugeben, dass das TCP-Protokoll auf dem Port verwendet wird. |
|
|
Stimmt mit dem ursprünglichen Paket einer TCP-Verbindung überein. Dies ist ein Textsynonym für . Mit dieser Bedingung wird nicht implizit überprüft, ob es sich bei dem Protokoll um ein TCP-Protokoll handelt. Wenn Sie diese Übereinstimmungsbedingung konfigurieren, empfehlen wir, dass Sie auch die Übereinstimmungsbedingung im selben Begriff konfigurieren. |
|
|
Übereinstimmung mit dem 8-Bit-Feld, das die CoS-Priorität (Class-of-Service) des Pakets angibt. Dieses Feld wurde zuvor als ToS-Feld (Type-of-Service) in IPv4 verwendet. Sie können einen numerischen Wert von bis angeben. Anstelle des numerischen Werts können Sie eines der folgenden Textsynonyme angeben (die Feldwerte werden ebenfalls aufgelistet):
|
|
|
Stimmen Sie nicht mit dem 8-Bit-Feld überein, das die CoS-Priorität des Pakets angibt. Weitere Informationen finden Sie in der Beschreibung des Spiels. |
Wenn Sie eine IPv6-Adresse in einer Übereinstimmungsbedingung angeben (die , oder Übereinstimmungsbedingungen), verwenden Sie die Syntax für Textdarstellungen, die in RFC 4291, IP Version 6 Addressing Architecture, beschrieben ist.address
destination-address
source-address
Weitere Informationen zu IPv6-Adressen finden Sie unter IPv6 – Übersicht und Unterstützte IPv6-Standards.https://www.juniper.net/documentation/en_US/junos/topics/concept/routing-protocols-ipv6-overview.htmlhttps://www.juniper.net/documentation/en_US/junos/topics/reference/standards/ipv6.html
Tabellarischer Änderungsverlauf
Die Unterstützung der Funktion hängt von der Plattform und der Version ab, die Sie benutzen. Verwenden Sie Feature Explorer, um festzustellen, ob eine Funktion auf Ihrer Plattform unterstützt wird.
next-header